Linux环境下Tomcat的安全加固措施

Linux环境下Tomcat安全加固措施

1. 身份鉴别：强化用户认证与权限管理

删除多余账号：修改/conf/tomcat-users.xml，删除与运维无关的账号（如tomcat1），仅保留必要角色（如admin、manager）。例如：
```
<user username="tomcat" password="Tomcat@1234" roles="admin"/>
```
设置口令复杂度：要求密码长度≥8位，包含数字、小写字母、大写字母、特殊符号中的至少3类（如Manager@1234），避免使用弱密码（如123456、tomcat）。
非root用户启动：创建专用Tomcat用户（tomcat），并赋予其对Tomcat目录的读写权限：
```
sudo useradd -r -m -d /opt/tomcat -s /bin/false tomcat
sudo chown -R tomcat:tomcat /opt/tomcat
sudo -u tomcat /opt/tomcat/bin/startup.sh
```
确保Tomcat进程不以root身份运行，降低权限滥用风险。

2. 访问控制：限制非法访问

基于IP的访问限制：通过RemoteAddrValve限制管理界面（如manager、host-manager）仅允许特定IP访问。修改/webapps/manager/META-INF/context.xml：
```
<Context>
    <Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="192\.168\.1\.\d+|127\.0\.0\.1"/>
</Context>
```

基于角色的访问控制：在/webapps/应用名/WEB-INF/web.xml中定义安全约束，限制敏感路径（如/admin/*）仅允许admin角色访问：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Admin Area</web-resource-name>
        <url-pattern>/admin/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name>
    </auth-constraint>
</security-constraint>

同时在tomcat-users.xml中为用户分配角色：

<role rolename="admin"/>
<user username="admin" password="Admin@1234" roles="admin"/>

禁用危险HTTP方法：修改/conf/web.xml，将DefaultServlet的readonly参数设为true，禁止PUT、DELETE等方法：
```
<init-param>
    <param-name>readonly</param-name>
    <param-value>true</param-value>
</init-param>
```
防止攻击者通过HTTP方法篡改或删除文件。

3. 安全审计：记录操作日志

启用访问日志：取消/conf/server.xml中AccessLogValve的注释，记录访问源IP、时间、请求URL等信息：

<Valve className="org.apache.catalina.valves.AccessLogValve"
       directory="logs"
       prefix="localhost_access_log."
       suffix=".txt"
       pattern="common"
       resolveHosts="false"/>

日志文件将保存在/logs目录下，便于后续审计和溯源。

4. 资源控制：优化服务配置

设置连接超时：修改/conf/server.xml中的Connector配置，设置connectionTimeout为30秒（30000毫秒），避免长时间闲置连接占用资源：
```
<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="30000"
           redirectPort="8443"/>
```
调整线程池：根据服务器性能设置maxThreads（最大并发线程数，如150）、minSpareThreads（最小空闲线程数，如25）、maxSpareThreads（最大空闲线程数，如75），避免线程过多导致系统崩溃：
```
<Connector port="8080" protocol="HTTP/1.1"
           maxThreads="150"
           minSpareThreads="25"
           maxSpareThreads="75"/>
```
禁止目录列出：修改/conf/web.xml，将listings参数设为false，防止用户通过浏览器查看目录结构：
```
<init-param>
    <param-name>listings</param-name>
    <param-value>false</param-value>
</init-param>
```
修改默认端口：将HTTP端口从8080改为非标准端口（如8081），HTTPS端口从8443改为非标准端口（如8444），降低被扫描工具发现的风险：
```
<Connector port="8081" protocol="HTTP/1.1".../>
<Connector port="8444" protocol="org.apache.coyote.http11.Http11NioProtocol" SSLEnabled="true".../>
```
防止恶意关闭服务：修改/conf/server.xml中的shutdown指令，将默认的SHUTDOWN改为复杂字符串（如TomcatShutdown@2025），避免攻击者通过发送SHUTDOWN命令关闭服务：
```
<Server port="8005" shutdown="TomcatShutdown@2025">
```
限制上传文件大小：修改/conf/server.xml中的maxPostSize参数（单位：字节），限制POST请求的大小（如10MB），防止上传恶意大文件：
```
<Connector port="8080" protocol="HTTP/1.1"
           maxPostSize="10485760".../>
```

5. 入侵防范：抵御常见攻击

配置SSL/TLS加密：使用JDK自带的keytool生成自签名证书（或从CA获取证书），修改/conf/server.xml启用HTTPS连接器：

keytool -genkey -alias tomcat -keyalg RSA -keystore /opt/tomcat/conf/tomcat.keystore -validity 3650

配置示例：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true"
           scheme="https"
           secure="true"
           keystoreFile="/opt/tomcat/conf/tomcat.keystore"
           keystorePass="changeit"/>

强制管理界面使用HTTPS，加密传输数据，防止中间人攻击。

隐藏版本信息：修改/lib/catalina.jar中的ServerInfo.properties文件，将server.info和server.number参数修改为自定义值（如MyTomcat/1.0），然后重新打包catalina.jar：
```
jar uf /opt/tomcat/lib/catalina.jar org/apache/catalina/util/ServerInfo.properties
```
重启Tomcat后，通过curl -I http://ip:8080检查响应头，确认Server字段不再显示Tomcat版本信息，防止攻击者利用版本漏洞发起攻击。

禁用不必要的组件：删除/webapps目录下的docs、examples、host-manager、manager、ROOT目录（若不需要），减少攻击面：

rm -rf /opt/tomcat/webapps/docs /opt/tomcat/webapps/examples /opt/tomcat/webapps/host-manager /opt/tomcat/webapps/manager /opt/tomcat/webapps/ROOT

关闭AJP端口：若不需要与Apache/Nginx集成，修改/conf/server.xml，注释掉AJP连接器（默认端口8009）：
```

```
避免AJP协议漏洞被利用。

6. 操作系统层面加固

配置SELinux（若启用）：若系统启用了SELinux，需设置正确的上下文，允许Tomcat访问其目录：
```
sudo chcon -R -t httpd_sys_content_t /opt/tomcat
sudo chcon -R -t httpd_sys_rw_content_t /opt/tomcat/logs
```
若需永久生效，编辑/etc/selinux/config，将SELINUX=enforcing改为SELINUX=permissive（测试环境），再改回enforcing（生产环境）。
配置防火墙：使用firewalld或iptables限制外部访问Tomcat端口（如8081、8444）：
```
sudo firewall-cmd --zone=public --add-port=8081/tcp --permanent
sudo firewall-cmd --zone=public --add-port=8444/tcp --permanent
sudo firewall-cmd --reload
```
仅允许信任的IP地址访问Tomcat端口，进一步提升安全性。